Was kostet ein externer Informationssicherheits­beauftragter?

Kostenmodelle

Für die externe Besetzung der ISB- und CISO-Funktion gibt es drei Abrechnungsformen. Welche passt, hängt weniger vom Budget ab als von der Frage, ob eine Rolle dauerhaft zu besetzen ist oder ein einmaliges Ergebnis gebraucht wird.

Monatspauschale (laufendes Mandat)

Die übliche Form. Ein fester Betrag ab 150 € netto im Monat deckt einen vereinbarten Leistungsumfang ab — im Einstiegsmodell eine monatliche Sprechstunde, das Quartalsreview mit Risiko-Update, die ISMS-Dokumentation in der Plattform und die Reaktion auf Rückfragen von Auditoren. Höhere Stufen enthalten mehrere Steuerungstage im Monat, NIS-2-Roadmap und Audit-Vorbereitung. Der Vorteil ist die Planbarkeit: Die Kosten stehen im Budget fest, unabhängig davon, wie viele Rückfragen in einem Monat anfallen. Die Mindestlaufzeit beträgt 3 Monate, danach ist monatlich kündbar. Die Pauschale ist kein Deckel für beliebigen Aufwand, sondern die Gegenleistung für einen beschriebenen Umfang. Was darin enthalten ist, steht im Servicevertrag — mit Turnus, Reaktionszeit und benannter Ansprechperson. Diese Klarheit ist auch im Audit nützlich: Ein Auditor fragt regelmäßig, wie die Rolle besetzt ist und in welchem Umfang sie tatsächlich ausgeübt wird.

Stundenbasis für Zusatzaufwand

Alles, was über den vereinbarten Umfang hinausgeht, wird mit 165 € netto je Stunde gemäß Servicevertrag abgerechnet — etwa ein zusätzliches Lieferantenaudit, die Bearbeitung eines umfangreichen Kundenfragebogens oder Aufwand im Zusammenhang mit einem Sicherheitsvorfall. Dieselbe Basis gilt für reine Beratungsprojekte ohne laufendes Mandat. Der Vorteil: Sie zahlen für Sonderfälle nur dann, wenn sie eintreten, und die Pauschale bleibt niedrig. Abgerechnet wird nach tatsächlichem Aufwand mit Leistungsnachweis, nicht in pauschalen Blöcken. Größere Zusatzleistungen kündige ich vorher mit einer Aufwandsschätzung an, damit es keine Überraschung auf der Rechnung gibt; bei kleineren Rückfragen im Tagesgeschäft entsteht kein Zusatzaufwand, sie sind Teil der Pauschale. Wer den Anteil solcher Sonderfälle über ein Jahr betrachtet, kann ihn im Folgejahr in eine höhere Stufe überführen — das ist meist günstiger als dauerhafte Einzelabrechnung.

Projekt- oder Vollmandat

Für Zertifizierungsbegleitung bis zum Auditbestehen, Krisenmandate oder ein Vollzeit-Äquivalent wird auf Basis von Tagessätzen kalkuliert. Diese Fälle sind zeitlich begrenzt und werden einzeln vereinbart. Typisch ist die Konstellation, in der ein Zertifizierungstermin bereits feststeht und in wenigen Monaten ein vollständiges ISMS aufgebaut, mit Nachweisen unterlegt und intern auditiert werden muss. Der Aufwand konzentriert sich dann auf zwei bis drei Quartale und fällt danach auf das Niveau der laufenden Pflege zurück. Deshalb lohnt es sich, ein solches Mandat von Beginn an zweistufig zu vereinbaren: hohe Taktung bis zum Audit, danach Übergang in die Monatspauschale. Die drei Modelle Start, Wachstum und Premium mit vollständigem Leistungsumfang stehen auf der Leistungsseite — dort werden sie gepflegt, damit die Angaben an einer Stelle stimmen: Engagement-Modelle und Preise.

Wovon der Preis abhängt

Die Spanne zwischen dem Einstieg und einem Vollmandat ist groß, und sie ist keine Verhandlungssache, sondern eine Aufwandsfrage. Vier Faktoren bestimmen, wo ein Mandat in dieser Spanne liegt.

Was der Preis nicht enthält, ist ebenso klar geregelt: Reiseaufwand über die vereinbarten Vor-Ort-Termine hinaus, Zertifizierungsgebühren der Zertifizierungsstelle und Lizenzkosten für Werkzeuge Dritter werden gesondert ausgewiesen. Die TSMONDO Compliance-Plattform mit Audit-Trail und Nachweisarchiv ist im Mandat enthalten.